View a markdown version of this page

设置 适用于 Lustre 的 Amazon FSx - FSx for Lustre
注册获取 AWS 账户添加在 Amazon S3 中使用数据存储库的权限FSx for Lustre 如何检查对 S3 存储桶的访问权限后续步骤

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置 适用于 Lustre 的 Amazon FSx

首次使用适用于 Lustre 的 Amazon FSx 前，请完成 注册获取 AWS 账户 部分中的任务。要完成入门教程，请确保您将链接到文件系统的 Amazon S3 存储桶具有 添加在 Amazon S3 中使用数据存储库的权限 中列出的权限。

注册获取 AWS 账户

要开始使用 AWS，你需要一个 AWS 账户。有关创建的信息 AWS 账户，请参阅《AWS 账户管理 参考指南》 AWS 账户中的入门指南。

添加在 Amazon S3 中使用数据存储库的权限

适用于 Lustre 的 Amazon FSx 与 Amazon S3 深度集成。这种集成意味着，访问您的 FSx for Lustre 文件系统的应用程序也可以无缝访问链接的 Amazon S3 存储桶中存储的对象。有关更多信息，请参阅 将数据存储库与适用于 Lustre 的 Amazon FSx 结合使用。

要使用数据存储库，您必须首先允许适用于 Lustre 的 Amazon FSx 在与您的管理员用户账户关联的角色中具有某些 IAM 权限。

使用控制台为角色嵌入内联策略

  1. 登录 AWS 管理控制台 并打开 IAM 控制台，网址为https://console.aws.amazon.com/iam/。

  2. 在导航窗格中，选择角色。

  3. 在列表中，选择要在其中嵌入策略的角色的名称。

  4. 选择权限选项卡。

  5. 滚动到页面底部并选择添加内联策略。

    注意

    您不能在 IAM 中的服务关联角色中嵌入内联策略。由于链接服务定义了您是否能修改角色的权限，因此，您可能能够从服务控制台、API 或 AWS CLI添加其他策略。要查看服务的服务相关角色文档，请参阅与 IAM 配合使用的AWS 服务，然后在服务的 “Service-Linked 角色” 列中选择 “是”。

  6. 选择使用可视化编辑器创建策略

  7. 添加以下策略声明。

    JSON
    {
    "Version":"2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
            "iam:CreateServiceLinkedRole",
            "iam:AttachRolePolicy",
            "iam:PutRolePolicy"
        ],
        "Resource": "arn:aws:iam::*:role/aws-service-role/s3.data-source.lustre.fsx.amazonaws.com/*"
    }
}

创建内联策略后，它会自动嵌入您的角色。有关服务关联角色的更多信息，请参阅使用 Amazon FSx 的服务关联角色。

FSx for Lustre 如何检查对链接 S3 存储桶的访问权限

如果您用于创建 FSx for Lustre 文件系统的 IAM 角色没有 iam:AttachRolePolicy 和 iam:PutRolePolicy 权限，那么 Amazon FSx 会检查它是否可以更新您的 S3 存储桶策略。如果您的 IAM 角色中包含允许 Amazon FSx 文件系统将数据导入或导出到您的 S3 存储桶的 s3:PutBucketPolicy 权限，则 Amazon FSx 可以更新您的存储桶策略。如果允许修改存储桶策略，则 Amazon FSx 将向存储桶策略添加以下权限：

  • s3:AbortMultipartUpload

  • s3:DeleteObject

  • s3:PutObject

  • s3:Get*

  • s3:List*

  • s3:PutBucketNotification

  • s3:PutBucketPolicy

  • s3:DeleteBucketPolicy

如果 Amazon FSx 无法修改存储桶策略，则它会检查现有存储桶策略是否授予 Amazon FSx 访问存储桶的权限。

如果所有这些选项都失败，则创建文件系统的请求失败。下图说明了 Amazon FSx 在确定文件系统是否可以访问与之链接的 S3 存储桶时所遵循的检查。

Amazon FSx 用于确定其是否有权将数据导入或导出到与之链接的 S3 存储桶的检查进度。

后续步骤

要开始使用 FSx for Lustre，请参阅 开始使用适用于 Lustre 的 Amazon FSx，获取有关创建 Amazon FSx for Lustre 资源的说明。